Malicious Apps In Play Store

TLS Engelleme Uyarıları Google Chrome 63’e Geliyor

Google’ın tarayıcısı Chrome 63’de Man-in-the-Middle saldırılarına karşı kullanıcıları uyaracak.

Chrome 63’le birlikte Google Chrome’da artık HTTPS engellemeleri için kullanıcılar bir uyarıyla bildirilecek. Uyarı ÅŸu anda Chrome’un geliÅŸtirici sürümü olan Canary’de bulunurken, tam sürüme geçmemiÅŸ durumda. Stabil sürümü ise 5 Aralık 2017’de çıkacak olan Chrome 63’le birlikte sunulacak.

Farkında olduÄŸunuz gibi, internet giderek evrensel bir ÅŸifrelemeye doÄŸru ilerliyor. URL’lerin önünde gördüÄŸünüz HTTP protokolü yerini HTTPS’ye bırakıyor ve Google ile diÄŸer tarayıcılar da bunu teÅŸvik ediyor. SSL ekleyip HTTPS’ye geçen web sitelerine küçük SEO katkıları olduÄŸu gibi, aynı zamanda geliÅŸmiÅŸ tarayıcı özelliklerine ve HTTP/2’ye de eriÅŸebiliyorlar.

Google’ın bu uyarıyı ekleme kararı aynı amacı gözeten farklı bir yaklaşım, o da tam bir ÅŸifreleme. Tam ÅŸifreleme iÅŸleminin önüne kesen ÅŸey ise bazen TLS engellemesi adı verilen HTTPS engellmesi oluyor.

 

Ä°ki ÇeÅŸit TLS Engellemesi

Daha net açıklamak için TLS Interception denilen bu durdurma türünü iki kategoriye ayıracağız: Man-in-the-middle attack (ortadaki adam saldırısı) ve HTTPS Interception – HTTPS engellemesi.

Man-in-the-middle saldırısı, adından da anlaşılacağı gibi saldırganın kendisini kullanıcı ile iletiÅŸime geçtiÄŸi sunucu arasına yerleÅŸtirmesidir. Bu sayede ortadaki adam iki parti arasında aktarılan tüm verileri inceleyebilir ve engelleyebilir. Hatta eÄŸer isterse bilgileri manipüle dahi edebilir.

SSL ise eklediÄŸi ÅŸifrelemeyle MITM saldırılarını ciddi ölçüde önler. Fakat SSL olsa bile kimi zaman ortadaki adamın ÅŸifrelemeyi engellemesi ve saldırıyı gerçekleÅŸtirmesi mümkündür. Bu genellikle site yöneticisinin yanlış yapılandırmasından kaynaklı savunmasızlık durumlarında ortaya çıkıyor fakat yine de bir tehdir oluÅŸturuyor. Birçok durumda, etkilenen kullanıcı saldırının gerçekleÅŸtiÄŸinden dahi haberdar olmuyor.

Google’ın TLS engelleme uyarısı getirme kararı ise bu müdahaleyi kullanıcılara bildirerek durumu hafifletecek.

DiÄŸer HTTPS Türü Engellemeler

Åžimdi de HTTPS trafiÄŸinin neden engellendiÄŸinden bahsedelim. Teknik olarak bu kategori hâlâ yine MITM saldırılarını alıyor fakat buradaki amaç biraz farklı. Bu durumlarda, güvenlik amacıyla incelenmek üzere HTTPS trafiÄŸi kesiliyor.

Bu tip HTTPS kesilmeleri biraz tartışmalı. Birçok güvenlik firması zararsız olduÄŸunu söylese de, bazı araÅŸtırmalara göre HTTPS engellemeleri kullanıcı verilerinin genel güvenliÄŸini zayıflatıyor.

HTTPS engellemeleri güvenlik amacıyla yapılınca, kesilmeyi gerçekleÅŸtiren cihaz sunucuyla istemci arasına yerleÅŸtiriliyor. Bu durumda iki baÄŸlantıya ihtiyaç duyuluyor ve birisi istemciyle engelleyici arasında, diÄŸeri ise engelleyiciyle sunucu arasında yer alıyor. Engellemenin amacı ise malware trafiÄŸini incelemek.

Açıkçası, HTTPS engellemeleri konusu bir güvenlik yöntemi olarak diÄŸerinden oldukça farklı. Ä°kisinde de geçerli noktalar var ama kanıtlar pratikte zarar verici olabileceÄŸini söylüyor.

Her iki türde de, Aralık ayında Google Chrome 63’ün yayınlanmasıyla birlikte kullanıcılar kesilme meydana geldiÄŸinde haberdar edilecek.

Ad Injection ile SavaÅŸmak Ä°çin BaÅŸka Bir Yol

Tabii ki Google’ın bu TLS engelleme uyarılarını eklemesinin bir sebebi de tarayıcının ISP seviyesinde ad injection – reklam enjeksiyonlara karşı mücadele edebilmesi.

Bu google için kritik önem taşımıyor fakat ne yapabileceklerini de görmek istiyorlar. SSL ÅŸifrelemesi doÄŸru ÅŸekilde yerleÅŸtirildiÄŸinde, üçüncü parti içerik enjeksiyonunu da önlüyor. Özellikle IPS’lerin reklam enjekte etmesinin önüne geçiyor. Herkese açık bir WiFi ağına baÄŸlandığınız zaman bu üçüncü parti içerik reklamlarını rahatlıkla görebilirsiniz. SSL olmadan tüm bunlar daha da yayılırdı. Reklam aÄŸları ise bu durumdan pek hoÅŸlanmıyor çünkü ceplerinden para çıkıyor .

Daha önce de bahsedildiÄŸi gibi, Google her sene yaklaşık 80 milyar dolar reklam geliri elde ediyor. Her ne kadar Google bir arama motoru olarak kategorize edilse de, aslında reklam satarak para kazanıyor. Bu durumu önlemek için de firmanın aldığı – alacağı bazı önlemler var.

- Coalition for Better Ads oluşumuna yardım ederek, internet reklam standartlarını idare etmek.

- Chrome tarayıcıya varsayılan bir reklam engelleyici eklemek. Bu da Coalition for Better Ads’e uygun olmayan reklamları durduracak.

- Ä°letiÅŸim güvenliÄŸini ve üçüncü parti içerik aktarımını engellemek için internet üzerinden ÅŸifrelemeyi zorunlu kılmak.

- HTTPS engellemesi tespit edildiÄŸinde geçilemeyen tarayıcı uyarıları eklemek.

Kendi baÅŸlarına ele alındığında tüm bunlar gayet zararsız gözükebilir. Fakat birlikte grup hâline geldiklerinde, biraz da ortaya komplo teorileri atarak aslında Google’ın kendi reklam ağını güçlendirmeye çalıştığını görebiliriz.

Chrome ÅŸu anda Amerikalı internet kullanıcılarının yarısı tarafından kullanılıyor ve Google’ın reklam standartlarına uymayan içerikleri engelliyor. Hatta HTTPS engellemesinin bir olasılık olduÄŸu web sitelerine eriÅŸimi dahi durduruyor.

Tekrar söyleyelim, tüm bunlar sizi daha güvenli hâle getiriyor ve internet tecrübenizi arttırıyor. Fakat tabii aynı zamanda Google’a da bolca para kazandırıyor. Yani herkes kazançlı çıkıyor.

Canary’de TLS Uyarıları Nasıl Açılır?

Aralık ayındaki Chrome 63 için beklemek istemiyorsanız, Chrome’un geliÅŸtirici tarayıcısı Canary’de de TLS engelleme uyarılarını aktif hâle getirebilirsiniz. Bunun için ÅŸu adımları izleyin:

1. Google Chrome Canary ikonunu-kısayolunu bularak çift tıklayın.

2. SaÄŸ üstteki menüden Properties – Ayarlar kısmına girin.

3. Target alanını bulun ve ÅŸu yazıyı “–enable-features=MITMSoftwareInterstitial” sonuna ekleyerek Save diyerek kaydedin.

Ne ÖÄŸrendik?

Ä°ÅŸte bugünün konusundan çıkaracağımız kilit noktalar:

- Google, Chrome 63’le birlikte tarayıcısına TLS engelleme uyarılarını ekleyecek.

- TLS engellemesine bazen HTTPS engellemesi adı da veriliyor ve sunucuyla istemci arasında yer alan man-in-the-middle (ortadaki adam) trafiÄŸi inceliyor ya da içerik enjekte ediyor.

 

- TLS uyarıları Aralık 2017 tarihinde aktif olacak fakat merak edenler bugünden itibaren Google Chrome’un geliÅŸtirici sürümü Canary’de kullanabiliyor.